[HaBo]

fussel500

Anzeige

Hey,

kennt jemand ein Programm, welches die Verbindung zum Clienten automatisch beendet, sobald er einen Portscan erkennt?
Danke!

MfG

Elderan

Hallo,
für diverse Firewalls und IDS gibt es Regeln, so dass diese Portscanns erkennen. Aber nur die primitiven (die mit roher Gewalt), denn einen Portscann kann man oft nur schlecht von normalen Anfragen unterscheiden.

Einfach mal Google verwenden, ob du was für z.B. IPTables verwendest, sofern das bei dir auf dem Server eingesetzt wird.

bikmaek

Ein IDS erkennt das höchstens, blocken bzw. den TCP-Stream killen kann man da nur mit einem IPS (IDS = Itrusion Detection System dagegen IPS = Intrusion Prevention System) bzw. einer FW die ein IPS integriert hat


Das stimmt auch so nicht. Du kannst jeden Port-Scan identifizieren. Es liegt an der IPS / IDS und wie gut du die Filter einstellst bzw. wie gut der Hersteller den Portscan von seiner Hardware erkennen lässt.

*klugscheißmodus OFF*



Wenn du dazu Fragen hast - raus damit.

mfg bikky

__________________

fussel500

Also ich hätte gerne Vorschläge für verschiedene Programme (Namen).
Mir ist klar, dass viele Zugriffe auf Port 80 nicht zu vermeiden sind aber z.b. auf Port 8029, 8030, 8031, 8032, 8033, 8034. Wenn auf diese 6 Ports hintereinander Zugriff erfolgt kann man das wohl als Portscaning bezeichnen (bzw. einstufen).

Sowas hätte ich gerne

Elderan

Hallo,
das ist eindeutig falsch.
Ein Port Scan unterscheidet sich (oft) nicht von einem normalen Verbingsaufaufbau, somit lässt sich dieser faktisch nicht identifizieren.

Es gibt aber Hinweise, die auf einen Port Scan schließen lassen. Der User versucht sich z.B. mit vielen Ports zu verbinden, die aber gar nicht offen sind oder er bricht die Verbindung mitten im Aufbau ab etc. um dann den nächsten Port anzusteuern. Daraus kann man schließen, dass es sich um einen Port Scan handelt und den User sperren.
Ein Flag o.ä. welches 'Port Scan Packeten' mitgegeben wird um Port Scans zu identifizieren existiert eben nicht.

Dies sind eben diese 'primitiven Portscanns', wo man einfach z.B. alle Port von 1 bis z.B. 1024 durch geht.

Einen User, der z.B. nur auf Port 80 und 443 'scannt', wird man nie mit einer Firewall, IDS, IPS identifizieren können ohne einen Großteil normaler User auszuschließen.
Wie gesagt, ein Portscan sieht oft genauso aus wie der normale Verbindungsaufbau, und wie du dort nun erkennst, dass das ein Portscan sein soll, erschließt sich mir nicht.

Ebenso scannen viele Würmer o.ä. nur einen Port, dafür aber entsprechend große IP Bereiche. Diese Würmer (oder Script Kiddies, Kriminelle etc.) suchen einen (oder evt. ein paar mehr) verwundbare Dienste um diese auszunutzen.
Beim einzelnen macht sich dies nur durch einen Verbindungsaufbau mit dem Port xxx bemerkbar.

Wenn man den Port offen hat: evt. schlecht, da evt. versucht wird diesen zu exploiten
Wenn der Port zu ist: Meistens alles in Ordnung. Ob man den User dann sperren will, ist ne andere Fragen. Damit schließt man oft viele normale User aus. Bsp. wenn der User https://www.meineURL.de eingegeben hat mein Webserver aber gar kein SSL anbietet => User wird gesperrt, da der Port 443 nicht offen ist.

bikmaek

@fussel500

Soll das für deine Workstation sein?

Dann z.B. http://www.infoprocess.com.au/download.php (ist ein HIP - Host Intrusion Prevention) Wie gut das ganze ist, weiß ich allerdings nicht. Ich darf bei mir halt mit enterprise Geräten Arbeiten


@Elderan

Ein Portscan auf 80 && 443 ist so sinfrei wie an eine Tanke zu fahren und zu gucken ob die Diesel haben. Auf Systemen wo ich aber kein webdienst laufen habe - z.B. auf meine FTP's - da wird eine Port 80 anfrage als Port-Scan identifiziert und geblockt. Da mein FTP aber über das Internet erreichbar sein soll und ist, können die mir den Port 21 so lange scannen wie die wollen. Nach der dritten Anfrage ohne SYNACK vom Server wird der TCP-Strom für 30 Sekunden gesperrt.

Es liegt immer am Admin bzw. an dem was du wie schützen willst.

Dazu kommt noch wann ich als Admin will, dass es als Port-Scan in die Logs geht bzw. geblockt wird. Nach zwei Ports die angefragt werden, nach 100 oder was auch immer.

Ein Port-Scan baut zudem keinen kompletten Drei-Wege-Handshake auf, das machst du bei meiner IPS auch nur auf einem Port und das ganze zwei Mal. Dann bist du für 30 Sekunden weg. Es sei denn ich nehme dich in die Ausnahmen

IPS rulez

bikky

__________________

bitmuncher

Verschoben: Webmaster-Security -> (In)security allgemein

__________________

Elderan

Hallo,
Natürlich kann ich einen Portscann auf 80 und 443 machen, möchte sehen wie du diese erkennst wenn der Server z.B. einen Webserver laufen hat. Gar nicht
Natürlich lässt sich dies ausdehnen, z.B. auf Port 3306, MySQL. Ich könnte IP Bereiche nach MySQL Server scannen, evt. weil ich eine Lücke in MySQL gefunden habe (oder jmd. anderes) oder einfach nur mal zu testen ob der root Zugang ein Passwort hat.
Wenn du selber einen MySQL Server betreibst und dieser von außen erreichbar sein soll, hast du defakto keine Möglichkeit zu erkennen, dass ich in wirklichkeit nur gescannt habe und kein legitimer User bin.

Auch wenn ich mal einen geschlossenen Port erwische, ist es nicht unbedingt klug, den User für einen längeren Zeitraum zu bannen. Es kommt häufiger vor, dass User ausversehen sich mit dem falschen Port verbinden, z.B. E-Mail Client falsch eingestellt (z.B. SSL für POP3 aktiviert, obwohl der Server es nicht anbietet). Gut, 30 Sekunden sollte zu verschmerzen sein.

Aber wie gesagt, unterscheiden ob ein Portscan vorliegt oder ob da nur ein dummer User ist, das geht nicht.




Da überlass doch bitte dem Autor des Port Scanners. Schreibt man mal als Übung seinen eigenen Port Scanner, so nutzt man oft die default Connect Methode der API um zu testen, ob ein Server auf einem bestimmten Port erreichbar ist.

Selbst bei guten Scanner wird der komplette 3-way handshake oft ausgeführt, z.B. bei nmap:

Und schreib den Portscanner nun bitte nicht vor, dass er nicht nur einen Port scannen darf und nicht im Modus -sT operieren darf.

Selbst wenn man den schnelleren SYN scan Mode nutzt, kann man als Server _nicht_ entscheiden, ob dort nun ein Portscan war oder nicht.
Packete gehen auch mal verloren, werden beschädigt oder ähnliches, da kann dann auch mal das Verhalten eines Syn Scan am Server auftreten, ohne dass dort jemand zweifelhafte absichten hat.

Wie gesagt, eindeutig identifizieren kann man Portscans nicht.

fussel500

Puh - also eigentlich wollte ich nur ein auf Linux lauffähiges Programm, welches man beliebig konfigurieren kann, sodass es Portscan verhindert bzw. nach Portscan-Anfang diese Ip bannt^^

bitmuncher

Unter Linux gibt es zig solcher Tools. psad (Port Scan Attack Detector) und scanlogd dürften dabei die bekanntesten sein.

__________________